【零信任安全架构】CISA 零信任成熟度模型：从传统到最优化的四阶段全景评估

CISA（美国网络安全与基础设施安全局）在 2021 年发布了零信任成熟度模型（ZTMM）的第一个版本，2023 年发布了 v2.0 版本。它是目前最系统化的零信任自评估框架——不是为了合规检查，而是为了回答一个问题：我们离零信任还有多远，从哪里开始？

前置阅读：NIST SP 800-207 架构拆解。

一、五支柱 × 四等级

ZTMM v2.0 将零信任分解为五个独立的支柱（Pillar），每个支柱有四个成熟度等级：

1.1 五个支柱

1.2 四个等级

二、每个支柱的跳跃点

以下是对每个支柱从初级到高级的具体工程需求。

2.1 身份支柱

从 Initial 到 Advanced 的跳跃：将 MFA 从”可选”变为”强制”，并且要求防钓鱼的 MFA 方式（FIDO2 安全密钥或 Passkey），因为 TOTP 和 SMS 可以被中间人攻击绕过。同时，服务身份从”共享密钥”变成 SPIFFE SVID。

2.2 设备支柱

从 Initial 到 Advanced 的跳跃：策略引擎可以在授权决策中使用设备姿态——不只是”设备是否 MDM 管理”，而是”设备当前是否合规”。不合规的设备被自动降级而非完全拒绝。

2.3 网络支柱

从 Initial 到 Advanced 的跳跃：微分段的粒度从”按 VLAN”变为”按身份”，且企业内网中的所有链路都默认加密。网络设备本身也通过 SPIFFE 获得身份。

2.4 应用与工作负载支柱

2.5 数据支柱

三、自评估的实操方法

ZTMM 不是打分表——它是一个差距分析工具。实操步骤：

1. 给每个支柱打分：用 ZTMM 的描述，诚实地评估你的组织在五个支柱上各处在哪个等级。大多数组织会在不同支柱上有不同的等级（例如：身份在 Advanced，但网络在 Initial）。
2. 找到最低的支柱：零信任的安全性由最弱的支柱决定——即使身份是 Optimal，如果网络是 Traditional（以内网边界信任为基础），攻击者仍然可以通过攻破网络层绕过身份层。
3. 设定优先级：哪个支柱的差距最大？哪个支柱提升一个等级的投资回报最高？
4. 不是追求 Optimal：CISA 明确指出 Optimal 是长期目标，大多数联邦机构的目标是 Advanced——将所有支柱都提升到 Advanced 已经是非常成熟的零信任状态。

四、ZTMM 的限制

1. 美国政府背景：ZTMM 是为美国联邦机构（FISMA 覆盖的组织）设计的。对于私营企业，有些支柱的细节不完全适用（例如，联邦机构有特殊的身份生命周期要求，私营企业可以更灵活）。
2. 不量化：ZTMM 只定义了四个等级，没有量化指标（如具体多少百分比的 MFA 覆盖率算”Advanced”）。实施者需要自己补充定量指标。
3. 不涉及成本：从 Initial 到 Advanced 的跳跃对应着显著的工程投资——ZTMM 不讨论 ROI、TCO 和优先级的经济学。

下一篇：零信任迁移的工程策略。

参考资料

1. CISA. (2023). Zero Trust Maturity Model Version 2.0. https://www.cisa.gov/zero-trust-maturity-model
2. OMB. (2022). M-22-09: Moving the U.S. Government Toward Zero Trust Cybersecurity Principles.
3. DoD. (2022). Department of Defense Zero Trust Strategy and Roadmap.